Aktualisiert am 7. Juli 2026: Wir haben den Zeitplan aktualisiert. Vielen Dank für Ihre Geduld.
Was und warum:
Administratoren können nun festlegen, welche Benutzer und Gruppen bei aktivierter Just-in-time-Schutzfunktion in Microsoft Purview Endpoint Data Loss Prevention auditiert werden.
Bisher wurden bei aktiviertem Just-in-time-Schutz Benutzeraktivitäten automatisch für Benutzer protokolliert, die nicht durch Richtlinien angesprochen wurden. Mit diesem Update muss die Audit-Protokollierung ausdrücklich konfiguriert werden, sodass nur Benutzer oder Gruppen, die im Audit-Bereich enthalten sind, protokolliert werden. Diese Änderung gibt Organisationen eine bessere Kontrolle über die Erfassung von Audit-Signalen und hilft, unnötigen Audit-Lärm zu reduzieren.
Diese Nachricht ist mit der Microsoft 365 Roadmap-ID 562991 verknüpft.
Rollout-Zeitplan:
Weltweit: Wir beginnen mit der Bereitstellung Mitte September 2026 (zuvor Anfang Juli) und erwarten den Abschluss bis Ende September 2026 (zuvor Anfang Juli).
Auswirkungen auf Ihre Organisation:
Betroffene Personen: Administratoren, die Microsoft Purview Endpoint Data Loss Prevention und Just-in-time-Schutz-Einstellungen verwalten.
Plattformen/Dienste:
- Microsoft Purview
- Endpoint Data Loss Prevention
- Activity explorer
Was wird passieren:
- Das Just-in-time-Audit-Verhalten wird nun über die Einstellung Audit covered user activities unter Einstellungen > Data loss prevention > Just-in-time protection verwaltet. Unter dem Tab „Devices“ aktivieren Sie Audit covered user activities.
- Benutzer, die im Audit-Bereich enthalten sind, sehen keine Durchsetzungsaktionen, ihre Aktivitäten werden jedoch im Activity explorer protokolliert.
- Benutzer, die im Block-Bereich enthalten sind, werden daran gehindert, Aktionen abzuschließen, während Dateien auf sensible Informationen geprüft werden. Auch ihre Aktivitäten werden im Activity explorer protokolliert.
- Benutzer, die weder im Audit- noch im Block-Bereich enthalten sind, werden durch Just-in-time-Schutz nicht protokolliert.
- Audited activities umfassen Drucken, Übertragungen auf Wechseldatenträger oder Netzlaufwerke, Kopieren oder Verschieben von Dateien über Remote Desktop Protocol oder eine nicht genehmigte Bluetooth-App sowie das Hochladen von Dateien in einen eingeschränkten Cloud-Service-Domain.
Screenshot: Just-in-time-Schutz-Einstellungen mit aktiviertem Audit covered user activities:
Erforderliche Maßnahmen / Empfehlungen:
- Setzen Sie die Anti-Malware-Clientversion 4.18.26060 oder höher ein, bevor Sie diese Funktion aktivieren.
- Überprüfen Sie Ihre bestehende Just-in-time-Konfiguration, um Benutzer zu identifizieren, die derzeit Audit-Ereignisse erzeugen.
- Fügen Sie ausdrücklich alle Benutzer oder Gruppen hinzu, die weiterhin Just-in-time-Audit-Ereignisse erzeugen sollen, um sie in den Audit-Bereich aufzunehmen.
- Validieren Sie Ihre Konfiguration, um sicherzustellen, dass die erwarteten Aktivitäten im Activity explorer angezeigt werden.
Weitere Informationen: Erste Schritte mit Microsoft Purview Data Loss Prevention Just-in-time-Schutz | Microsoft Learn
Compliance-Überlegungen:
Audit-Logging-Funktionalitäten: Das Audit-Logging-Verhalten ändert sich von automatisch zu expliziter Eingrenzung, wodurch festgelegt wird, welche Benutzeraktivitäten für Just-in-time-Schutz protokolliert werden.
Compliance-Überwachung und Reporting für Administratoren: Administratoren müssen den Audit-Bereich konfigurieren, um die erwartete Sichtbarkeit der Benutzeraktivitäten im Activity explorer zu erhalten.
Purview-Berichte und Compliance-Workflows: Die Änderung beeinflusst, wie Just-in-time-Auditdaten für Compliance und Untersuchungen erfasst und überprüft werden.
Administrative Steuerungen und gruppenbasierte Konfiguration: Die Funktion führt zusätzliche Konfigurationsmöglichkeiten für Administratoren ein, um das Audit-Verhalten durch Benutzer- oder Gruppenauswahl einzuschränken.
